PT-2026-28504
CVE-2026-33644
·
تاريخ النشر
2026-03-26
·
تاريخ التحديث
2026-03-26
الوصف من
CVSS 3.1
4.3
متوسطةالمقاييسAV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Lychee الأقدم من 7.5.2
الوصف
Lychee هي أداة مجانية ومفتوحة المصدر لإدارة الصور. قبل الإصدار 7.5.2، كان من الممكن تجاوز الحماية من تزوير الطلبات من جانب الخادم (SSRF) في ملف
PhotoUrlRule.php باستخدام إعادة ربط DNS. لا يتم تنشيط فحص التحقق من صحة عنوان IP (الأسطر 86-89) إلا عندما يكون اسم المضيف عبارة عن عنوان IP. وعند استخدام اسم نطاق، تُرجع الدالة filter var($host, FILTER VALIDATE IP) القيمة false، مما يؤدي إلى تخطي الفحص بالكامل. وهذا يتيح إمكانية الوصول غير المصرح به أو القيام بأعمال غير مصرح بها عبر التطبيق المعرض للخطر.التوصيات
قم بالتحديث إلى الإصدار 7.5.2 أو أحدث من Lychee.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾